Если на сайте компании или индивидуального предпринимателя есть хотя бы одна форма обратной связи, корзина заказа, личный кабинет или счётчик веб-аналитики, владелец сайта является оператором персональных данных и обязан состоять в реестре Роскомнадзора (ч. 1 ст. 22 Закона № 152-ФЗ)1. С 30 мая 2025 года за отсутствие такого уведомления действует отдельный состав — ч. 10 ст. 13.11 КоАП РФ со штрафом от 100 000 до 300 000 рублей, причём ИП несут по нему такую же ответственность, как юридические лица.
Вторая половина риска кроется в исходном коде страницы: когда сайт обращается к серверам Google, Cloudflare или зарубежным CRM, возникают сразу две статьи — трансграничная передача данных (ст. 12 Закона № 152-ФЗ) и нарушение локализации баз данных в РФ (ч. 5 ст. 18 Закона № 152-ФЗ). Ниже подробно разбираем оба требования и даём пошаговый план приведения сайта в порядок.
Кто обязан подать уведомление в Роскомнадзор и кому разрешено работать без него
Обязанность подать уведомление о намерении осуществлять обработку персональных данных возникает у любого ООО, АО, НКО, ИП и самозанятого, которые собирают данные физических лиц с использованием средств автоматизации — то есть через сайт, CRM, корпоративную почту, 1С или облачную таблицу. Исключения из этого правила в ч. 2 ст. 22 Закона № 152-ФЗ с осени 2022 года сведены к минимуму:
- Когда уведомление можно НЕ подавать: только в том случае, если вы обрабатываете персональные данные исключительно без использования средств автоматизации (то есть только на бумаге, в бумажных журналах и папках по Постановлению Правительства РФ № 687), либо если данные обрабатываются исключительно в целях защиты безопасности государства и транспортной безопасности.
- Почему наличие сайта автоматически отменяет исключение: как только клиент вводит имя и телефон в веб-форму на сайте, а сервер отправляет эту заявку вам на почту, в Telegram-бота или записывает в базу данных сайта, происходит автоматизированная обработка персональных данных. Ссылаться на «обработку без средств автоматизации» при наличии сайта с формами или метрикой невозможно.
Проверить, числится ли ваша организация или ИП в реестре, можно за 10 секунд по ИНН на официальном портале Роскомнадзора pd.rkn.gov.ru или автоматически при проверке домена в нашем аудиторе сайта на 152-ФЗ.
Штрафы по ст. 13.11 КоАП РФ в 2026 году: почему ИП платят наравне с ООО
Федеральный закон от 30.11.2024 № 420-ФЗ (вступил в силу 30 мая 2025 года)2 изменил систему штрафов за персональные данные. Раньше неуведомление Роскомнадзора наказывалось по общей ст. 19.7 КоАП РФ символическим штрафом в 3 000 – 5 000 рублей. Теперь в ст. 13.11 КоАП выделены специальные составы, а согласно примечанию 1 к ст. 13.11 КоАП по частям 1.1 и 8–18 индивидуальные предприниматели отвечают как юридические лица:
| Нарушение (что видит РКН на сайте и в реестре) | Норма 152-ФЗ и состав КоАП РФ | Штраф для ООО (юрлиц) | Штраф для ИП |
|---|---|---|---|
| Компания или ИП собирает заявки и cookie на сайте, но отсутствует в реестре операторов РКН | ч. 1 ст. 22 152-ФЗ → ч. 10 ст. 13.11 КоАП РФ | 100 000 – 300 000 ₽ | 100 000 – 300 000 ₽ (отвечает как юрлицо) |
| Первичная запись и хранение заявок с сайта идут напрямую в зарубежную базу (Google Таблицы, Notion, Airtable, зарубежная CRM) | ч. 5 ст. 18 152-ФЗ (локализация) → ч. 8 ст. 13.11 КоАП РФ (повторно — ч. 9) | 1 000 000 – 6 000 000 ₽ (повторно: 6–18 млн ₽) | 1 000 000 – 6 000 000 ₽ (отвечает как юрлицо) |
| Передача данных посетителей на зарубежные серверы (аналитика, капча, виджеты) без правовых оснований и согласия | ч. 1 ст. 6, ст. 12 152-ФЗ → ч. 1 ст. 13.11 КоАП РФ (повторно — ч. 1.1) | 150 000 – 300 000 ₽ (повторно: 300–500 тыс. ₽) | 50 000 – 100 000 ₽ (повторно по ч. 1.1: 300 000 – 500 000 ₽ как юрлицо) |
| На сайте нет опубликованной политики обработки ПДн в свободном доступе | ч. 2 ст. 18.1 152-ФЗ → ч. 3 ст. 13.11 КоАП РФ | 30 000 – 60 000 ₽ | 10 000 – 20 000 ₽ |
| Произошла утечка базы заявок с сайта, и оператор не уведомил РКН в течение 24 часов | ч. 3.1 ст. 21 152-ФЗ → ч. 11 ст. 13.11 КоАП РФ | 1 000 000 – 3 000 000 ₽ | 1 000 000 – 3 000 000 ₽ (отвечает как юрлицо) |
Чем отличается нарушение локализации (ч. 5 ст. 18) от трансграничной передачи (ст. 12)
Владельцы сайтов часто путают два понятия — локализацию баз данных и трансграничную передачу — хотя штрафы за них различаются на порядок, а технические причины на сайте разные:
- Локализация баз данных (ч. 5 ст. 18 Закона № 152-ФЗ): при сборе персональных данных граждан РФ (в том числе через интернет) оператор обязан обеспечить запись, систематизацию, накопление, хранение и уточнение этих данных с использованием баз данных, находящихся на территории Российской Федерации3. Это правило нарушается в двух случаях: когда сам хостинг (VPS) вашего сайта физически расположен в Германии, Финляндии или США (например, на Hetzner или DigitalOcean), либо когда форма заявки на российском сайте отправляет данные по вебхуку сразу в Google Таблицы, Airtable, HubSpot или зарубежный почтовый сервис, минуя сохранение в российской базе данных. Штраф по ч. 8 ст. 13.11 КоАП — от 1 до 6 млн рублей.
- Трансграничная передача данных (ст. 12 Закона № 152-ФЗ): это передача персональных данных на территорию иностранного государства иностранному лицу4. Даже если ваш сервер стоит в Москве и заявки сначала пишутся в российскую PostgreSQL, встроенные в страницу скрипты Google Analytics, Google Tag Manager, Google reCAPTCHA, шрифты Google Fonts или CDN Cloudflare при каждом открытии страницы заставляют браузер посетителя отправлять его IP-адрес, куки и параметры устройства напрямую на серверы в США и ЕС.
Чтобы легально осуществлять трансграничную передачу данных по ст. 12, оператор обязан до её начала провести оценку иностранного контрагента (узнать, какие меры защиты он применяет и в какой стране стоят его серверы) и подать в Роскомнадзор отдельное уведомление о трансграничной передаче. На практике для 99% российских корпоративных сайтов и интернет-магазинов проходить эту процедуру ради бесплатного шрифта или зарубежной капчи бессмысленно — гораздо надёжнее вычистить зарубежные вызовы из кода сайта за один рабочий день.
Как подать или обновить уведомление в Роскомнадзор в 2026 году: 5 шагов
Подача уведомления об обработке персональных данных бесплатна (госпошлины нет) и выполняется на портале pd.rkn.gov.ru одним из трёх способов: электронно через учётную запись организации/ИП на Госуслугах (ЕСИА), электронно с подписанием усиленной квалифицированной электронной подписью (УКЭП) с помощью плагина КриптоПро, либо на бумажном бланке по почте в территориальное управление РКН.
При заполнении формы важно синхронизировать то, что вы пишете в уведомлении для ведомства, с тем, что реально происходит на вашем сайте и написано в вашей Политике обработки персональных данных:
- Цели обработки: выбираются из справочника РКН отдельно (например, «Продвижение товаров, работ, услуг на рынке», «Подготовка, заключение и исполнение гражданско-правового договора», «Ведение кадрового и бухгалтерского учёта»). Под каждую цель указывается свой перечень данных и категорий субъектов.
- Точный адрес ЦОД (места хранения базы данных сайта и CRM): в разделе «Сведения о местонахождении базы данных информации, содержащей персональные данные граждан РФ» указываются страна (Россия), точный почтовый адрес дата-центра вашего российского хостинг-провайдера и вашей CRM-системы, а также отметка о наличии или отсутствии собственной серверной. Узнать юридический и физический адрес ЦОД можно в базе знаний вашего хостера (Timeweb, Reg.ru, Selectel, Beget и др.).
- Сведения о трансграничной передаче: если вы убрали с сайта Google Analytics, Google Fonts и зарубежные виджеты, указывается «не осуществляется».
- Меры по обеспечению безопасности (ст. 18.1 и 19): перечисляются принятые организационные и технические меры — назначение ответственного за организацию обработки ПДн (для юрлиц по ст. 22.1), издание локальных актов, использование защищённого протокола HTTPS (TLS), разграничение прав доступа к панели управления сайтом и CRM, резервное копирование и антивирусная защита.
- Обновление сведений при смене хостинга: по ч. 7 ст. 22 Закона № 152-ФЗ, если вы перенесли сайт к другому хостеру (и изменился адрес ЦОД) или поменяли цели обработки, необходимо подать уведомление об изменении сведений не позднее 15-го числа месяца, следующего за месяцем, в котором возникли такие изменения.
Таблица замены: какие зарубежные сервисы находит аудитор в коде сайта и чем их заменить
Когда мы проводим редизайн или берём сайт на техническую поддержку, мы проверяем все сетевые запросы страницы во вкладке Network браузера. Ниже — список самых частых зарубежных подключений и их безопасные российские или локальные аналоги:
| Категория и зарубежный сервис | Какие домены видны в коде сайта | Безопасная замена без потери функций и скорости |
|---|---|---|
| Шрифты: Google Fonts, Adobe Fonts (Typekit) | fonts.googleapis.com, fonts.gstatic.com, use.typekit.net | Скачать файлы шрифтов в формате .woff2 в папку /fonts/ своего сайта и подключить правилом @font-face с font-display: swap |
| Защита форм от спама: Google reCAPTCHA v2/v3, hCaptcha, Cloudflare Turnstile | www.google.com/recaptcha, gstatic.com/recaptcha, js.hcaptcha.com, challenges.cloudflare.com | Серверная защита без внешних скриптов (скрытое honeypot-поле + лимит запросов по IP, как сделано на самом сайте dacod.ru) либо российская Яндекс SmartCaptcha |
| Веб-аналитика и теги: Google Analytics 4, Google Tag Manager, Hotjar, Clarity | googletagmanager.com, google-analytics.com, static.hotjar.com, clarity.ms | Яндекс Метрика (с вебвизором и картой кликов) и Top.Mail.Ru, подключаемые только после согласия посетителя в cookie-баннере |
| JS/CSS-библиотеки с CDN: Cloudflare cdnjs, jsDelivr, unpkg, jQuery CDN | cdnjs.cloudflare.com, cdn.jsdelivr.net, unpkg.com, code.jquery.com | Сохранить нужные .js и .css файлы локально в сборку сайта — страница перестаёт зависеть от доступности зарубежных CDN в РФ |
| Карты и видео: Google Maps, YouTube, Vimeo | maps.googleapis.com, youtube.com/embed, player.vimeo.com | Яндекс Карты или 2ГИС; для видео — собственный <video> в формате MP4/WebM со своего сервера, VK Видео или Rutube |
| Авторизация и виджеты чатов: Google/Apple OAuth, Intercom, Tawk.to, Jivo (зарубежные узлы) | accounts.google.com, widget.intercom.io, embed.tawk.to | Вход по одноразовому коду на почту/телефон, Яндекс ID, VK ID (по ст. 13.55 КоАП РФ), прямая кнопка в мессенджер Max или Telegram |
Как правильно подключить шрифты локально вместо Google Fonts
Перенос шрифтов на свой сервер решает сразу две задачи: полностью убирает обращение браузера посетителя к серверам Google в США и ускоряет отрисовку первого экрана (LCP) на 150–300 мс, так как браузеру не нужно устанавливать отдельное TLS-соединение с fonts.gstatic.com:
/* В вашем файле стилей (например, /styles/main.css) */
@font-face {
font-family: 'Golos Text';
src: url('/fonts/golos-text-cyrillic.woff2') format('woff2');
font-weight: 400 700;
font-style: normal;
font-display: swap;
}
/* В секции <head> HTML-документа — предзагрузка основного начертания */
<link rel="preload" href="/fonts/golos-text-cyrillic.woff2" as="font" type="font/woff2" crossorigin>Автоматическая проверка сайта и документов компании за 2 минуты
Чтобы не выискивать сторонние скрипты в шаблонах и плагинах вручную, мы открыли бесплатный доступ к двум нашим инструментам:
- Онлайн-аудитор сайта на 152-ФЗ — введите адрес сайта и ИНН компании. Сервис автоматически проверит наличие организации в реестре операторов Роскомнадзора, определит физическую страну размещения сервера и почтовых MX-записей, просканирует главную и внутренние страницы на наличие 30+ зарубежных сервисов (Google Fonts, GA4, GTM, reCAPTCHA, YouTube, CDN), проверит установку cookie до согласия, чекбоксы всех форм и полноту текста политики обработки персональных данных.
- Анкета самопроверки к проверке РКН — интерактивный чек-лист из 75 вопросов по внутренним документам и процессам компании (приказы, журнал учёта обращений, модель угроз, поручения третьим лицам, хранение бумажных анкет).
Полный обзор всех законодательных требований к сайтам (русский язык, маркировка рекламы, оферта и рекомендательные технологии) читайте в статье «Что должно быть на сайте компании по закону в 2026 году». А если вам нужно оперативно перенести шрифты и скрипты на свой сервер, настроить cookie-баннер и формы, перевезти сайт на российский хостинг или подготовить техническую фактуру по сайту для подачи уведомления в РКН — мы сделаем это в рамках поддержки сайта от 5 000 ₽ в месяц.
